Il 29 ottobre 2026 l'exchange Binance ha subito il più grande furto di criptovalute mai registrato: almeno 6,3 miliardi di dollari sottratti dagli hot wallet in una finestra di circa 20 minuti. Gli analisti di blockchain intelligence indicano come responsabili gli hacker nordcoreani del gruppo TraderTraitor. Binance sostiene che i fondi degli utenti siano al sicuro e che circa 3 miliardi di dollari siano stati congelati dai partner del settore, ma l'indagine è ancora aperta e molti dettagli restano da chiarire.

I fatti confermati e quelli ancora aperti

Secondo quanto ricostruito da TechCrunch il 30 ottobre, Binance ha sospeso depositi e prelievi dopo aver rilevato prelievi non autorizzati. L'indagine preliminare dell'azienda punta al laptop compromesso di un ingegnere: da lì gli aggressori avrebbero ottenuto l'accesso a un "service container" capace di inviare richieste di prelievo. Binance afferma di non avere prove di una fuga delle chiavi private. TRM Labs ed Elliptic attribuiscono il colpo al gruppo nordcoreano TraderTraitor; Elliptic segnala inoltre che una parte dei fondi è confluita in un portafoglio già usato nell'attacco a Bitget di quest'anno (351 milioni di dollari). Anche altre fonti, come la newsletter This Week in Security, parlano di una finestra operativa di circa 20 minuti e riportano un coinvolgimento di organi investigativi statunitensi; su quest'ultimo punto TechCrunch non riporta un'attribuzione ufficiale dell'FBI, quindi lo trattiamo come non verificato.

Una ricostruzione tecnica più dettagliata viene da Phoenix Security, che parla di un laptop DevOps compromesso, movimento laterale verso un container di servizio e firma, da parte del "signer" dell'hot wallet, di richieste senza verificarne l'intento: tra queste 50 autorizzazioni EIP-7702 su nonce consecutivi e trasferimenti su altre nove reti, con un contratto "sweeper" che avrebbe svuotato più volte il wallet. Attenzione però: si tratta di un contributo di un vendor di sicurezza, con passaggi promozionali, e il vettore iniziale non è confermato. Lo stesso dirigente di Binance citato dalla fonte ha ammesso la presenza di altri punti di violazione oltre al laptop. Va quindi letto come ipotesi plausibile, non come verità accertata.

Punti ancora aperti: come sia stato compromesso il laptop, se esistessero controlli a monte del signer, quanto del bottino sia davvero irrecuperabile (le stime parlano di circa la metà) e quanto la copertura degli utenti dipenda da riserve proprie. Binance ha promesso un aggiornamento della proof of reserves a conclusione delle operazioni di recupero.

Cosa significa per le aziende italiane

Per chi non detiene criptovalute questa notizia può sembrare lontana, ma contiene tre lezioni che valgono per qualsiasi azienda italiana con asset di valore dietro pochi sistemi.

La prima è che l'endpoint dello sviluppatore è un bersaglio di valore strategico. Il furto più grande della storia, se la ricostruzione preliminare regge, parte da un portatile di un ingegnere. Le PMI e gli studi di software che custodiscono segreti, certificati di firma, chiavi cloud o accessi a produzione sui laptop del team hanno la stessa superficie, in scala minore. L'accesso permanente alla produzione dalle workstation è il problema, non il singolo malware.

La seconda riguarda la separazione tra chi chiede e cosa si chiede. Un sistema che firma o autorizza operazioni ad alto valore deve valutare l'operazione, non solo la sorgente: limiti di importo, di velocità, approvazioni multiple e blocchi automatici. Chi gestisce tesorerie, pagamenti o flussi di fatturazione automatizzati può applicare lo stesso principio con i limiti di bonifico e il doppio controllo.

La terza è normativa e riguarda gli operatori italiani ed europei del settore. I prestatori di servizi per le cripto-attività autorizzati nell'UE rientrano nel Regolamento MiCA e, per il rischio ICT, nel regolamento DORA (Reg. UE 2022/2554), che impone gestione del rischio ICT, test di resilienza, controllo dei fornitori e notifica degli incidenti gravi all'autorità competente. Un evento come questo mostra perché il regolatore insiste su accessi privilegiati, segregazione e monitoraggio. Per chi invece è semplice cliente, il caso ricorda che sulle piattaforme centralizzate si è esposti al rischio della controparte: la sospensione dei prelievi è un rischio concreto, non teorico. Chi usa exchange extra-UE deve inoltre ricordare che le tutele europee non seguono automaticamente i fondi.

Sul piano dei dati personali, se l'incidente avesse comportato l'accesso a dati di clienti si applicherebbero i normali obblighi GDPR di notifica entro 72 ore; al momento non risulta che la violazione abbia riguardato dati anagrafici, ma l'azienda non ha fornito dettagli.

Cosa fare subito

  • Per chi ha fondi su exchange centralizzati. Valutare l'esposizione, non lasciare più del necessario sulla piattaforma, attivare la 2FA con chiave fisica o app (non SMS) e diffidare di email o messaggi che sfruttano la notizia: dopo grandi incidenti aumentano i tentativi di phishing che promettono "rimborsi" o chiedono di "verificare il wallet".
  • Per chi custodisce asset ad alto valore (cripto o no). Eliminare gli accessi permanenti alla produzione dalle workstation degli sviluppatori e adottare accessi just-in-time, a tempo e con approvazione.
  • Mettere policy davanti a ogni operazione critica. Limiti di valore e di frequenza, approvazione multipla, circuit breaker che sospendono automaticamente quando un singolo richiedente supera una soglia in poco tempo.
  • Ridurre il saldo "caldo". Tenere nei sistemi online solo quanto serve al fabbisogno operativo successivo; il resto in custodia a freddo con processi di sblocco separati.
  • Rafforzare gli endpoint degli sviluppatori. Controllare le estensioni dell'IDE e le dipendenze, disattivare l'esecuzione automatica di task non fidati e monitorare i log di accesso ai container e ai namespace vicini ai servizi di firma.
  • Per i soggetti DORA/NIS2. Rivedere la mappatura degli accessi privilegiati e dei fornitori critici, e verificare che il piano di risposta agli incidenti preveda i tempi di notifica all'autorità competente.

In sintesi

L'ammontare del furto è eccezionale, ma l'anello debole è comune: un laptop con troppi privilegi e un sistema di firma troppo fiducioso. Seguiremo gli sviluppi se emergeranno conferme sul vettore iniziale o sull'entità reale delle perdite.